CVE-2026-110306 in fast-uri
Résumé
par VulDB • 20/10/2026
fast-uri est un analyseur et sérialiseur d'URI conforme à la RFC 3986, sans dépendances externes, pour Node.js. Dans les versions antérieures à 2.4.8, de 3.0.0 à 3.1.8, et de 4.0.0 à 4.2.2, fast-uri décode le composant « scheme » (schéma) en utilisant la fonction legacy `unescape()` globale avant de le valider. Ainsi, une entrée dont le schéma décodé est un jeton dangereux est émise comme un schéma valide et actif, bien que la RFC 3986 n'autorise pas l'encodage par pourcentage (%) dans un schéma et qu'aucun autre analyseur ne l'accepte. Une application qui filtre les schémas dangereux sur l'entrée brute puis stocke ou affiche le résultat normalisé ou résolu peut transformer une chaîne inoffensive en URL exécutable de type javascript, data ou vbscript, générant ainsi un vecteur de cross-site scripting (XSS) persistant ou réfléchi. De plus, la comparaison `equal()` traite un schéma encodé et un schéma brut comme identiques, ce qui peut contourner les listes blanches basées sur l'égalité stricte. Le problème est corrigé dans fast-uri 2.4.8, 3.1.9 et 4.2.3 ; il est recommandé aux utilisateurs de mettre à niveau vers l'une de ces versions ou une version ultérieure. En attendant, comme solution de contournement, rejetez les entrées dont la partie « scheme » contient un signe pourcentage (%), ou vérifiez le schéma analysé par rapport à une liste blanche après normalisation et utilisez ce résultat d'analyse plutôt que la chaîne brute.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.